Предоставление доступа к ключам, сертификатам и секретам Key Vault с помощью ролевого управления доступом Azure.

Контроль доступа Azure на основе ролей (Azure RBAC) — это система авторизации, основанная на Azure Resource Manager, которая обеспечивает централизованное управление доступом к ресурсам Azure. Начиная с API версии 2026-02-01, Azure RBAC — это модель управления доступом по умолчанию для недавно созданных хранилищ ключей. Дополнительные сведения об этом изменении и подготовке см. в статье "Подготовка к API Key Vault" версии 2026-02-01 и более поздних версий.

Azure RBAC позволяет пользователям управлять ключами, секретами и разрешениями сертификатов, а также предоставляет одно место для управления всеми разрешениями во всех хранилищах ключей.

Модель RBAC Azure позволяет пользователям задавать разрешения на различные уровни области: группу управления, подписку, группу ресурсов или отдельные ресурсы. Azure RBAC для key vault также позволяет пользователям иметь отдельные разрешения на отдельные ключи, секреты и сертификаты.

Для получения дополнительной информации см. контроль доступа на основе ролей в Azure (Azure RBAC).

Обзор модели доступа Key Vault

Доступ к хранилищу ключей осуществляется через два интерфейса: управляющая плоскость и плоскость данных.

Плоскость управления — это место, где осуществляется управление самим Key Vault. Операции в этой плоскости включают создание и удаление хранилищ ключей, получение свойств Хранилищ ключей и обновление политик доступа.

Плоскость данных — это место, где вы работаете с данными, хранящимися в хранилище ключей. Вы можете добавлять, удалять и изменять ключи, секреты и сертификаты.

Оба самолета используют Microsoft Entra ID для проверки подлинности. Для авторизации контрольная плоскость использует управление доступом на основе ролей Azure (Azure RBAC), а плоскость данных использует политику доступа к Key Vault (устаревшая версия) или Azure RBAC для операций плоскости данных Key Vault.

Чтобы получить доступ к хранилищу ключей в любом контексте, все вызывающие (пользователи или приложения) должны иметь надлежащую проверку подлинности и авторизацию. Аутентификация устанавливает личность вызывающего. Авторизация определяет, какие операции может выполнять вызывающий объект.

Приложения получают доступ к плоскостям через конечные точки. Системы управления доступом для двух плоскостей работают независимо. Чтобы предоставить приложению доступ к использованию ключей в хранилище ключей, вы предоставляете доступ к плоскости данных с помощью Azure RBAC или политики доступа к хранилищу ключей. Чтобы предоставить пользователю доступ к свойствам и тегам Key Vault, но не доступ к данным (ключам, секретам или сертификатам), вы предоставляете доступ на уровне управляющего плана с помощью Azure RBAC.

конечные точки плоскости доступа

В следующей таблице показаны конечные точки для плоскостей управления и данных.

Управление административными доступами к Key Vault

При создании хранилища ключей в группе ресурсов, вы управляете доступом с помощью Microsoft Entra ID. Вы предоставляете пользователям или группам возможность управлять хранилищами ключей в группе ресурсов. Вы можете предоставить доступ на определенном уровне области, назначив соответствующие роли Azure. Чтобы предоставить пользователю доступ для управления хранилищами ключей, необходимо назначить предопределенную роль Key Vault Contributor пользователю в определенной области. Следующие уровни областей можно назначить роли Azure:

• Subscription: роль Azure, назначенная на уровне подписки, применяется ко всем группам ресурсов и ресурсам в этой подписке.
• Resource group: роль Azure, назначенная на уровне группы ресурсов, применяется ко всем ресурсам в этой группе ресурсов.
• Specific resource: роль Azure, назначенная конкретному ресурсу, применяется к данному ресурсу. В этом случае ресурс представляет собой конкретное хранилище ключей.

Существует несколько предопределенных ролей. Если заданные роли не соответствуют вашим потребностям, вы можете определить собственные. Дополнительные сведения см. в разделе Azure RBAC: встроенные роли.

Рекомендации по назначению ролей для индивидуального использования ключей, секретов и сертификатов.

Наша рекомендация заключается в использовании одного хранилища для каждого приложения в каждой среде (разработка, предпроизводственная и рабочая) с ролями, назначенными в области хранилища ключей.

Назначение ролей для отдельных ключей, секретов и сертификатов не рекомендуется. Исключения включают сценарии, в которых:

• Для доступа к отдельным тайнам требуется доступ отдельных пользователей; например, когда пользователям необходимо считывать свой закрытый ключ SSH для аутентификации на виртуальной машине с помощью Azure Bastion.
• Отдельные секреты должны совместно использоваться несколькими приложениями, например, когда одному приложению необходимо получить доступ к данным из другого приложения.

Дополнительные сведения о рекомендациях по управлению Azure Key Vault см. в следующем разделе:

• Обеспечьте безопасность вашего Azure Key Vault
• Ограничения для службы Azure Key Vault

Azure встроенные роли для операций уровня данных Key Vault

Дополнительные сведения о встроенных определениях ролей Azure см. в разделе Azure встроенные роли.

Управление встроенными назначениями ролей плоскости данных Key Vault

Использование разрешений Azure RBAC на секреты, ключи и сертификаты с Key Vault

Новая модель разрешений RBAC Azure для Key Vault предлагает альтернативу модели разрешений политики доступа к хранилищу.

Предпосылки

У вас должна быть Azure подписка. Если вы этого не сделали, вы можете создать учетную запись free перед началом работы.

Для управления назначениями ролей необходимо иметь разрешения Microsoft.Authorization/roleAssignments/write и Microsoft.Authorization/roleAssignments/delete. Например, Администратор доступа к данным Key Vault (с ограниченными разрешениями только для назначения и удаления определенных ролей Key Vault), Администратор доступа пользователя или владелец.

Включение разрешений Azure RBAC для Key Vault

1. Включите разрешения RBAC Azure для новых хранилищ ключей.

   

2. Включите разрешения Azure RBAC для существующего хранилища ключей.

   

Назначить роль

az role assignment create --role {role-name-or-id} --assignee {assignee-upn}> --scope {scope}

#Assign by User Principal Name
New-AzRoleAssignment -RoleDefinitionName {role-name} -SignInName {assignee-upn} -Scope {scope}

#Assign by Service Principal ApplicationId
New-AzRoleAssignment -RoleDefinitionName Reader -ApplicationId {application-id} -Scope {scope}

Назначение ролей в области группы ресурсов

az role assignment create --role "Key Vault Reader" --assignee {i.e user@microsoft.com} --scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}

#Assign by User Principal Name
New-AzRoleAssignment -RoleDefinitionName 'Key Vault Reader' -SignInName {assignee-upn} -Scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}

#Assign by Service Principal ApplicationId
New-AzRoleAssignment -RoleDefinitionName 'Key Vault Reader' -ApplicationId {application-id} -Scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}

Вышеуказанное назначение ролей предоставляет возможность перечислять объекты в хранилище ключей.

назначение роли в контексте Key Vault

az role assignment create --role "Key Vault Secrets Officer" --assignee {assignee-upn} --scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}

#Assign by User Principal Name
New-AzRoleAssignment -RoleDefinitionName 'Key Vault Secrets Officer' -SignInName {assignee-upn} -Scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}

#Assign by Service Principal ApplicationId
New-AzRoleAssignment -RoleDefinitionName 'Key Vault Secrets Officer' -ApplicationId {application-id} -Scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}

Назначение ролей в области секретных данных

az role assignment create --role "Key Vault Secrets Officer" --assignee {i.e user@microsoft.com} --scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}/secrets/RBACSecret

#Assign by User Principal Name
New-AzRoleAssignment -RoleDefinitionName 'Key Vault Secrets Officer' -SignInName {i.e user@microsoft.com} -Scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}/secrets/RBACSecret

#Assign by Service Principal ApplicationId
New-AzRoleAssignment -RoleDefinitionName 'Key Vault Secrets Officer' -ApplicationId {i.e 00001111-aaaa-2222-bbbb-3333cccc4444} -Scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}/secrets/RBACSecret

Тестирование и проверка

1. Проверьте добавление нового секрета без роли "Офицер секретов Key Vault" на уровне хранилища ключей.

   1. Перейдите на вкладку контроля доступа (IAM) Key Vault и удалите назначение роли "Офицер секретов хранилища ключей" для этого ресурса.

      

   2. Перейдите к ранее созданному секрету. Вы можете увидеть все скрытые свойства.

      

   3. Создание нового секрета (секреты > +Создание и импорт) должно отобразить эту ошибку:

      

2. Проверьте редактирование секретов без роли "Key Vault Secret Officer" на уровне секрета.

   1. Перейдите на предварительно созданную вкладку Access Control (IAM) и удалите назначение роли Key Vault Secrets Officer для этого ресурса.

   2. Перейдите к ранее созданному секрету. Вы можете увидеть скрытые свойства.

      

3. Проверить чтение секретов без роли читателя на уровне хранилища ключей.

   1. Перейдите на вкладку группового ресурса хранилища ключей "Управление доступом (IAM)" и удалите назначение роли "Читатель хранилища ключей".

   2. Перейдя на вкладку "Секреты" хранилища ключей, должна появиться эта ошибка:

      

Создание пользовательских ролей

команда создания определения роли az

az role definition create --role-definition '{ \
    "Name": "Backup Keys Operator", \
    "Description": "Perform key backup/restore operations", \
    "Actions": [], \
    "DataActions": [ \
        "Microsoft.KeyVault/vaults/keys/read ", \
        "Microsoft.KeyVault/vaults/keys/backup/action", \
        "Microsoft.KeyVault/vaults/keys/restore/action" \
    ], \
    "NotDataActions": [], \
    "AssignableScopes": ["/subscriptions/{subscriptionId}"] \
}'

$roleDefinition = @"
{ 
    "Name": "Backup Keys Operator", 
    "Description": "Perform key backup/restore operations", 
    "Actions": [], 
    "DataActions": [ 
        "Microsoft.KeyVault/vaults/keys/read ", 
        "Microsoft.KeyVault/vaults/keys/backup/action", 
        "Microsoft.KeyVault/vaults/keys/restore/action" 
    ], 
    "NotDataActions": [], 
    "AssignableScopes": ["/subscriptions/{subscriptionId}"] 
}
"@

$roleDefinition | Out-File role.json

New-AzRoleDefinition -InputFile role.json

Дополнительные сведения о создании пользовательских ролей см. в следующем разделе:

Azure пользовательские роли

Использование ИИ для создания назначений ролей Key Vault

GitHub Copilot поможет вам создать правильные Azure CLI или команды PowerShell для назначений ролей Key Vault на основе конкретных требований.

I need to set up Azure RBAC for my Key Vault. Help me create the role assignment commands for the following scenario:
- Key vault name: my-app-keyvault
- Resource group: my-app-rg
- Subscription ID: <my-subscription-id>
- I need to grant a managed identity (client ID: <managed-identity-client-id>) the ability to read and write secrets, but not manage keys or certificates.
Provide both Azure CLI and PowerShell commands, and explain which built-in role is most appropriate for this least-privilege scenario.

GitHub Copilot работает на ИИ, поэтому возможны сюрпризы и ошибки. Дополнительные сведения см. в Часто задаваемые вопросы по Copilot.

Часто задаваемые вопросы

Можно ли использовать назначения RBAC Azure на уровне объектов для обеспечения изоляции команд приложений в Key Vault?

Нет. Модель разрешений RBAC в Azure позволяет назначать доступ к отдельным объектам в Key Vault пользователю или приложению, но для выполнения административных операций, таких как управление доступом в сети, мониторинг и управление объектами, требуются разрешения уровня всего хранилища, которые затем предоставляют конфиденциальную информацию операторам в командах разработчиков.

Подробнее

• Обзор RBAC в Azure
• Назначение ролей Azure с помощью портала Azure
• Руководство по Пользовательским ролям
• Обеспечьте безопасность вашего Azure Key Vault